AI is inmiddels niet meer weg te denken uit de advocatuur. Het bespaart tijd en vat lange dossiers samen. Maar er is iets veranderd: u kunt het niet meer zomaar ongemerkt gebruiken. De toezichthouder kijkt vanaf nu mee.

Als ik met advocaten spreek, merk ik dat AI vaak nog wordt gezien als puur een efficiëntiemiddel. Iets wat u 'er even bij pakt'. Het College van Toezicht van de NOvA heeft AI-gebruik expliciet op de agenda gezet, en kijkt daarbij of juridische AI-tools veilig en zorgvuldig worden gebruikt.

Hoe dat toezicht er in de praktijk uitziet

Dat toezicht loopt via de lokale toezichthouders van de Orde, die kantooronderzoeken uitvoeren. De kans dat uw kantoor in een bepaald jaar aan de beurt is, is klein. Over een reeks jaren is die kans niet te verwaarlozen.

Waar de toezichthouder voorheen vooral naar de algemene kantoororganisatie en administratie keek, is AI-gebruik nu een afzonderlijk en vast aandachtspunt op de checklist geworden. De vraag is niet langer óf uw kantoor in de gaten wordt gehouden, maar of u een goed antwoord klaar hebt als er wordt aangeklopt voor een controle. U moet als kantoor hard kunnen maken dat de manier waarop uw kantoor AI inzet volledig in lijn is met het beroepsgeheim en de AVG.

Vier niveaus van AI, en wat u erover moet kunnen uitleggen

Veel mensen denken dat alle AI hetzelfde werkt. Maar als het op privacy en controle aankomt, zijn er eigenlijk vier verschillende niveaus. Welk niveau u kiest, bepaalt hoe lang uw gesprek met de toezichthouder gaat duren.

Niveau 1: de publieke cloud, de standaard-AI

Dit zijn de gratis of standaardversies van chatbots die via het open internet werken. Vergelijk het met het bespreken van een cliëntdossier in een vol, openbaar café. Uw data gaat naar externe servers en wordt vaak gebruikt om modellen verder te trainen.

Wat u dan moet kunnen uitleggen: Hier gaat het mis. Cliëntgegevens invoeren in een openbare AI-dienst is een schending van uw beroepsgeheim, en dat is niet met een afspraak te repareren.

Niveau 2: de beveiligde cloud

Dit zijn betaalde, zakelijke cloudlicenties waarbij het techbedrijf belooft de data afgeschermd te bewaren en niet te gebruiken voor training. U huurt als het ware een beveiligde kluis in het gebouw van een externe partij.

Wat u dan moet kunnen uitleggen: Dit mag, maar met een zware bewijslast. Omdat de data uw kantoor verlaat, wil de toezichthouder verwerkersovereenkomsten, DPIA's (risicoanalyses) en sluitende protocollen zien. Het levert een flinke berg administratie op.

Niveau 3: de eigen kantoorserver

Het kantoor huurt of koopt een zware eigen server en laat daar een AI-model op draaien. Advocaten loggen intern in. Het is alsof u het dossier bespreekt in een afgesloten vergaderruimte binnen uw eigen pand.

Wat u dan moet kunnen uitleggen: Uw gegevens blijven binnen uw eigen omgeving. Daar staat tegenover dat het kostbaar is en onderhoud vraagt: iemand moet de firewalls en beveiligingsupdates bijhouden.

Niveau 4: Lokale AI op uw eigen laptop (bijvoorbeeld LocalSearch)

Het AI-model wordt één keer gedownload en werkt daarna volledig op uw eigen computer, zonder internetverbinding. U leest en verwerkt het dossier gewoon aan uw eigen bureau.

Wat u dan moet kunnen uitleggen: Dat uw dossier het apparaat niet verlaat, en dat er dus geen gegevensoverdracht is om vast te leggen of te verantwoorden. Wat u wel houdt is de zorg voor het apparaat zelf: schijfversleuteling en een vergrendeld scherm blijven uw verantwoordelijkheid. U hebt geen eigen serverbeheer nodig zoals bij niveau 3, en geen verwerkersadministratie zoals bij niveau 2.

Een bewuste keuze voor de praktijk

De inzet van AI biedt de advocatuur veel kansen, maar de aangescherpte controle van de NOvA laat zien dat het gebruik niet zonder verplichtingen is. De toezichthouder verwacht simpelweg dat u kunt verantwoorden hoe het kantoor met vertrouwelijke gegevens omgaat.

Uiteindelijk komt het voor elk kantoor aan op een afweging tussen risico's, kosten en beheer. Kiest u voor het gemak van een beveiligde clouddienst mét de bijbehorende administratieve bewijslast? Investeer u in de controle van een eigen server? Of kiest u voor lokale software op het eigen apparaat om privacyrisico's op voorhand uit te sluiten? Welke route u ook bewandelt, het belangrijkste is dat de oplossing past bij de dagelijkse praktijk van de advocaten én dat u het verhaal richting de toezichthouder helder op orde hebt.

Bronnen

  • Aanbevelingen AI in de advocatuur, Nederlandse orde van advocaten, projectgroep Digitalisering & AI
  • Verordening (EU) 2024/1689 (AI-verordening), artikel 4, van toepassing sinds 2 februari 2025

Wilt u weten wat de AI Act concreet van uw kantoor vraagt, lees dan Wat de AI Act van uw kantoor vraagt.